E-maily padají do spamu: SPF, DKIM a DMARC ve správném pořadí

Přečíst verdikt v hlavičce zprávy

Každá e-mailová služba, která přijme e-mail, ověří, odkud přišel, a výsledek zapíše do hlavičky zprávy. Chcete-li ho přečíst, pošlete e-mail ze své firemní adresy na adresu Gmail, otevřete ho, klikněte na ikonu Možnosti (tři tečky) a pak na Zobrazit originál. Najděte řádek Authentication-Results:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@vase-domena.com header.s=google;
       spf=pass (google.com: domain of kontakt@vase-domena.com designates 203.0.113.25 as permitted sender) smtp.mailfrom=kontakt@vase-domena.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=vase-domena.com

Tato tři nastavení nejsou rozšířená stejnou měrou. Z 1 730 domén malých a středních firem, které přijímají poštu, v našem měsíčním měření zveřejňuje SPF 96 % a 71 % nemá žádnou politiku DMARC, která by na výsledek působila.

1. SPF: seznam povolených serverů

SPF je záznam TXT v kořeni domény. Začíná v=spf1, jmenuje servery, které smějí za doménu odesílat, a končí tím, jak naložit se všemi ostatními. Dva nejrozšířenější poskytovatelé e-mailu zveřejňují hodnotu, kterou použít:

v=spf1 include:_spf.google.com ~all

v=spf1 include:spf.protection.outlook.com -all

Každá další služba, která odesílá s vaší doménou, se přidá do téhož záznamu: nástroj pro e-mailing, fakturační software, CRM a server vašeho webu, pokud jeho formuláře odesílají poštu samy. Každá uvádí ve své dokumentaci include:, který je třeba přidat; server se uvádí svou adresou, pomocí ip4::

v=spf1 include:_spf.google.com ip4:203.0.113.25 ~all

• Jediný záznam SPF na doménu. Dva záznamy, které začínají v=spf1, učiní SPF neplatným (permerror): slučte je do jednoho.
• Nejvýše deset dotazů DNS. Počítá se každý include, a, mx, ptr, exists a redirect, včetně těch, které obsahují samotné include. Nad deset je SPF neplatné. ip4 a ip6 se nepočítají.
• Konec záznamu. -all označí každý jiný server za nepovolený, ~all ho označí, aniž by ho prohlásil za nelegitimní. Google ve své dokumentaci uvádí ~all, Microsoft -all. Jakmile je nasazený DMARC, o osudu zprávy, která neprojde, rozhoduje jeho politika.

2. DKIM: podpis každé zprávy

DKIM přidá ke každé zprávě podpis, který e-mailová služba příjemce ověří veřejným klíčem zveřejněným ve vašem DNS, pod názvem ve tvaru selektor._domainkey.vase-domena.com. Podpis se generuje u služby, která odesílá; vaším úkolem je zveřejnit klíč, který vám dá.

• Google Workspace: v konzoli pro správce otevřete nastavení ověřování e-mailů v Gmailu (v anglickém rozhraní Menu > Apps > Google Workspace > Gmail > Authenticate email) a vygenerujte nový záznam (v angličtině „Generate new record“). Výchozí selektor je google a Google doporučuje klíč o délce 2 048 bitů. Zveřejněte záznam TXT google._domainkey a pak se vraťte a spusťte ověřování (v angličtině „Start authentication“).
• Microsoft 365: na portálu Microsoft Defender, na stránce Nastavení ověřování e-mailu, karta DKIM (https://security.microsoft.com/authentication?viewid=DKIM). DKIM tu stojí na dvou záznamech CNAME, selector1._domainkey a selector2._domainkey, jejichž přesné hodnoty pro vaši doménu portál zobrazí: zkopírujte je beze změny a pak podepisování zapněte.
• Ostatní služby (e-mailing, fakturace, CRM) mají každá stránku pro ověření domény, která uvádí jejich vlastní záznamy DKIM.

Gmail přijímá klíče o délce 1 024 bitů a více; 2 048 bitů je délka doporučená standardem. Počítejte až se 48 hodinami, než bude zveřejněný klíč viditelný všude.

3. DMARC: pokyn pro e-mailové služby

DMARC spojuje SPF a DKIM s adresou, kterou vidí příjemce, tedy s adresou v poli From. Zpráva projde DMARC, pokud je SPF nebo DKIM platné pro doménu této adresy: tomu se říká zarovnání (alignment). Záznam také říká, co dělat se zprávou, která neprojde, a kam posílat reporty.

v=DMARC1; p=none; rua=mailto:dmarc@vase-domena.com

1. Zveřejněte p=none s adresou rua. Velké e-mailové služby na ni každý den posílají souhrnný report, komprimovaný soubor XML se seznamem serverů, které s vaší doménou odesílaly, a s jejich výsledkem.
2. Dva až čtyři týdny čtěte reporty. Každý legitimní zdroj, který neprojde (zapomenutý nástroj pro e-mailing, fakturační software), opravte v SPF nebo DKIM.
3. Přejděte na p=quarantine a po několika týdnech bez ztrát na p=reject. Pokud vaše týmy píší do e-mailových konferencí, zůstaňte u quarantine: standard pro takové domény reject nedoporučuje, protože konference zprávy, které rozesílají, upravují.

Starší návody navrhují postupný náběh pomocí značky pct. Aktuální verze standardu DMARC, RFC 9989 zveřejněné v květnu 2026, ji už neuznává: postup se řídí samotnou politikou.

Kontaktní formulář na webu

Mnoho formulářů na webech odesílá zprávu s adresou návštěvníka jako odesílatelem. Server webu nemá k doméně návštěvníka žádné oprávnění: SPF ani DKIM se nemohou zarovnat a DMARC neprojde. Pokud e-mailová služba návštěvníka zveřejňuje přísnou politiku (yahoo.com zveřejňuje p=reject), zpráva je odmítnuta nebo zařazena do spamu dřív, než k vám dorazí.

• Odesílatel: adresa ve vaší doméně, například formular@vase-domena.com.
• Adresa pro odpověď (Reply-To): adresa návštěvníka, aby odpověď šla přímo jemu.
• Odesílání: přes ověřený účet SMTP vaší e-mailové služby, uvedený v SPF a podepisovaný DKIM, místo výchozí funkce serveru pro odesílání pošty.

Když všechno projde, a zpráva přesto padá do spamu

• Seznamy blokovaných adres (blacklisty): nástroj Spamhaus, https://check.spamhaus.org/, zdarma ověří IP adresu nebo doménu.
• Reverzní záznam: Gmail od všech odesílatelů vyžaduje odesílací server, jehož IP adresa má platný reverzní záznam (PTR), který zase ukazuje na tuto adresu. U poskytovatele e-mailu je to hotové; u serveru, který spravujete sami, je třeba to ověřit.
• Hromadné rozesílky: nad přibližně 5 000 zpráv denně na adresy Gmail vyžaduje Google SPF a DKIM, DMARC alespoň s p=none, zarovnání, odhlášení jedním kliknutím a míru nahlášeného spamu pod 0,3 %. Od listopadu 2025 Gmail část zpráv, které tato pravidla nesplňují, odmítá. Yahoo uplatňuje podobné požadavky bez zveřejněného prahu a Outlook.com od 5. května 2025 odmítá zprávy domén, které odesílají víc než 5 000 zpráv denně bez SPF, DKIM a DMARC.
• Google Postmaster Tools (postmaster.google.com) ukazuje pověst vaší domény a míru spamu v Gmailu, jakmile doménu ověříte záznamem DNS. Grafy se plní od dostatečného objemu odesílání.